GTIG AI Threat Tracker：從一則提示詞到數千組憑證，僅需六小時

Google Threat Intelligence Group 發布了其 2026 年第二季版的 AI Threat Tracker，於2026年9月8日。這份報告的核心案例簡短到可以直接說明：一名疑為財務動機驅使的行為者取用了屬於受害者的雲端資源，將提示詞與一組預先寫好的代理指令輸入 AI 程式編寫聊天機器人，並竊取了 數千組第三方憑證在不到六小時內，而該代理自行管理漏洞掃描、故障排除與 IP 輪替。同一份報告描述了 PyPI 上的木馬化 MCP 伺服器、一種會竊取建置系統自身身分的憑證竊取程式，使其遭植入後門的套件能附帶有效且經密碼學簽署的 SLSA Build 3 證明出現，以及旨在讓以 LLM 為基礎的安全掃描器拒絕讀取其底下程式碼的對抗性文字。這些全都是 Google 對其自身遙測資料的敘述。 本報告已連同其信心評級與所引用來源，收錄於 AI 事件檔案庫，該檔案庫也一併收錄了本系列中所有其他有紀錄的事件。

尚未有任何實質性主張獲得並非僅重述 Google 說法的第三方驗證。Help Net Security在發布當天報導了該追蹤器，Cloud Security Alliance隔天發表了一份研究筆記，而Lineaje於 9 月 17 日發表了 DUSTMAKER 分析；每一份都是對 Google 披露內容的摘要或分析性補充，Lineaje 自己也這麼說，指出 GTIG「描述的是數項相關的 DUSTMAKER 能力，而非單一觀察到的端到端執行軌跡」。與此紀錄一同引用的第二個來源，是 threatops.tech 於 2026 年 9 月 11 日發布的「threat pulse」項目，它只是重述，而非第二個見證：未增添任何報導、未質疑任何數字，並調高了嚴重性標籤，卻未說明其衡量基準。各方報導甚至對該版本的名稱也不完全一致——Help Net Security 稱其為 Q3 2026 追蹤器，卻將其主案例標註為 Q2 2026——這是編號差異，而非事實衝突。

檔案庫將此事歸檔為報告，而非事件：信心等級 A、無爭議，且未記錄任何經量化的實際傷害數字。該評級描述的是文件記錄的品質，而非損害的規模。Google 計算的是憑證數量，而非受害者人數。該追蹤器未說明有多少組織捲入這場六小時的行動、它們是誰、使用了哪個聊天機器人，或任何被竊憑證後來是否被出售或使用。

GTIG 所描述的那六個小時，以及該代理獨自完成的三項工作

報告中的攻擊序列從存取一路延伸到成果，中間幾乎沒有人為介入。行為者先入侵一項雲端資源，接著搭配商用 AI 程式設計聊天機器人，以及 GTIG 所稱的「提示」與「一組代理指令」——也就是如今以 AGENTS.md 檔案形式存放在儲存庫中的 markdown 操作手冊——來規劃、建置並執行整起行動。Google 對這項結果的定調是「由代理促成的大規模憑證竊取行動」，且「在不到六小時內」完成。

有三項任務被描述為自主，而它們正是原本會佔用操作員注意力的那三項：

• 弱點掃描流程，代理程式指令讓 AI「自主管理」該流程，這是 Help Net Security 引用 GTIG 的說法。

• 即時排解掃描所發現的任何狀況，讓失敗不會因等待決策而停滯整個執行流程。

• IP 輪替，讓連續的嘗試都從不同位址發出，而無須任何人下達指令。

行動從何處執行，與執行速度同樣重要。攻擊者藉由在受害者自家的雲端基礎設施內運作，讓流量經由受害者合法的 IP 範圍路由出去。看起來像是來自組織內部的請求，正是以信譽為基礎的防禦機制最無力質疑的對象，而報告也將此記錄為從受害者自身環境運作所導致的後果。

報告未包含的內容，和它已包含的內容同樣能說明問題。沒有逐步計時，因此「不到六小時」是對整段執行過程的單一測量，無法拆解成圖表。除了「疑似出於財務動機」之外，沒有行為者的名稱，沒有受害者，也沒有說明涉及哪個模型或哪家廠商的聊天機器人。該追蹤報告把此案例視為某個趨勢的實例，其撰寫層級是為了服務該目的，而不是事件應變人員會想要的層級。

一台暴露在外的伺服器，如何演變成收錄 23,800 個機密的儀表板

同一節中的第二項發現更為具體，且屬於另一個獨立案例。GTIG 發現了一台暴露的指揮與控制伺服器，其上託管著一套自動化偵察與憑證管理框架，他們稱之為 Recon。該目錄列表可被讀取，因而洩露了其設計：AGENTS.md、KNOWLEDGE.md、agentic_vuln_research.md，以及一個模組化的 .openclaw/ 目錄和一個 memory/ 目錄。這些檔案名稱是代理式堆疊的指紋，而非專門打造的植入程式——指令、累積的知識與研究計畫，全都存放在磁碟上，供操作者的工具讀取。

同一個目錄後來成為一個即時前端儀表板，負責整理並驗證 超過 23,800 個蒐集到的機密資料，其中包括雲端與 AI 服務的 API 金鑰。GTIG 將這所代表的轉變描述為一種轉向：「從被動、以端點為中心的資訊竊取程式，轉向具攻擊性的代理式蒐集」——也就是說，從只會從單一筆電抓取所能取得內容的惡意程式，轉向會持續對已觸及的目標發動操作的工具。

有兩點提醒應與該數字一併看待。兩萬三千八百是機密項目的計數，並非人員或公司的計數，而報告並未將其一換算成另一者。此外，GTIG 並未說明 Recon 伺服器與那場六小時行動是否為同一項行動；它們在同一章節中是作為各自獨立的觀察呈現，因此將它們視為同一條敘事線，會是報告並未作出的推論。

DUSTMAKER 以及正確說明套件為正品的證明

追蹤報告中與供應鏈相關的那一半，涉及的是 UNC6780，Google 也以 TeamPCP 這個名稱追蹤該組織；這是一個以金錢利益為動機的團體，自 2026 年 3 月起持續入侵 PyPI、npm 與 Docker Hub 上的開源基礎設施。它在 AI 工具方面的手法相當直接：攻擊者利用遭入侵的開發者帳號，發布合法 MCP 伺服器遭植入木馬的 fork，其中 PyPI 上的 tiktoken_mcp 被點名為一例；惡意程式碼也被注入官方組織的儲存庫，包括 azure-functions-mcp-extension。GTIG 指出，只要下載或複製這些資產，酬載與惡意工作區掛鉤就會自動被引入——無須另設誘餌，也沒有第二個步驟。

其憑證竊取程式 DUSTMAKER，正是報告中最有價值的技術重點所在。這條鏈很短。該竊取程式偵測到自己在 CI/CD 環境中執行；GTIG 寫道，「若經確認」，它會從 GitHub Actions 執行器的處理程序記憶體中擷取 OIDC 權杖。它利用這些權杖將自身授權為受信任發行者。接著它發布帶有 有效、經密碼學簽署的 SLSA Build 3 證明 的遭入侵套件版本。這條鏈中沒有任何東西是偽造的。該證明是真實的，發給真實身分，對應於真實發生過的建置——但建置的是攻擊者所寫的程式碼。GTIG 的結論正是任何依賴來源證明的人都該注意的那句話：「以有效權杖發布的套件將通過 AI 編碼代理的自動化信任檢查。」

DUSTMAKER 其餘行為的目標，是防禦者不會注意的地方。它會在 AI 程式設計助理與 IDE 工作區目錄內放置並修改檔案——.claude/、.vscode/、.cursor/——藉此融入開發者的雜訊中，並避開端點偵測實際監控的位置，例如 Windows 登錄機碼或 /etc/cron.*。它會寫入設定，讓 IDE 或 AI 擴充功能在工作區開啟時執行諸如 setup.mjs 的指令碼，這使開啟資料夾變成程式碼執行。它會建立帶有 AI 主題名稱的管線任務，例如 "Copilot Setup"，以搜尋權杖，並發出 API 呼叫來刪除工作流程執行記錄，讓該次執行不會出現在 GitHub 介面中。

要求掃描器移開目光的惡意軟體

最後一個機制是三者中驗證程度最低的。DUSTMAKER 的 JavaScript 載入器腳本開頭嵌入了作為註解的對抗性提示文字——在_index.js等檔案中——提及生物與核子武器，並包含要求提供 20 千噸內爆型裂變裝置規格的內容。GTIG 的評估是，這「很可能意在讓 LLM 安全掃描器因安全或政策拒絕而無法分析或跳過分析其下的惡意 JavaScript 程式碼。」

那句話上的標籤很重要。這是關於意圖的陳述，依據載入器所帶的文字推斷而來，並非證明任何掃描器真的拒收了該檔案。報告沒有指名哪個掃描器跳過了該檔案，沒有報告繞過率，也沒有說該手法奏效。可以確定的是，有人寫了誘餌，並把它夾在憑證竊取程式裡散布出去——這本身就是證據，顯示攻擊者預期以 LLM 為基礎的分流會出現在處理流程中。

UNC6508、MIDNIGHT NEPTUNE 與 CALANQUE ION 都在同一份報告中。

該追蹤器與國家相關的材料比其犯罪材料範圍更廣，且大多自動化程度較低。UNC6508是一個與中華人民共和國有關聯的組織，多年來針對北美學術、醫療及軍事研究發動間諜活動，如今更專門鎖定專有的人工智慧研究；GTIG懷疑該組織入侵雲端環境，以便部署本地的開放權重模型，此舉可避開商業API的監控，並讓受害者自身的算力為其所用。

在其他案例中，這種模式是現成模型大規模執行一般工作。北韓的MIDNIGHT NEPTUNE（前稱 UNC1069）使用DeepSeek-Coder撰寫具跨平台持續性與行程注入的 Python 遠端存取木馬，使用 LLM 撰寫 Bash 橫向移動腳本，經營社交工程人設與技術誘餌，汙染內部儲存庫設定，竄改Claude CLI鉤子，並在開發者與該儲存庫互動時部署SOMBERMEME後門。伊朗的CALANQUE ION（前稱 APT42）使用模型識別目標電子郵件地址、執行 OSINT、將誘餌在地化、摘要外洩資料，並嘗試對授權程式碼進行逆向工程。與中華人民共和國有關的BASIN CASTLE使用 Gemini 進行目標剖析、將中文材料翻譯成正式英文政治報導，以及 PowerShell 疑難排解；RAVINE CASTLE用它研究 VMware vCenter SAML 繞過與 Active Directory 後滲透；俄羅斯的SANDWORM RELIC讓 Gemini 撰寫其密碼噴灑程式碼。出於財務動機的UNC6240（亦被追蹤為 ShinyHunters）使用Claude Code提示來撰寫混淆程式碼、繞過 Cloudflare，並透過自訂 MCP 工具解析外洩目錄。

本節有一個案例比其他案例更進一步。一個與中華人民共和國（PRC）有關聯的團體利用 Gemini 設計了一套動態自動化滲透測試框架，旨在觀察目標狀態、推斷下一步該怎麼做，並執行連接埠掃描與服務解析。Google 表示，已對其識別出的活動採取更廣泛的行動，停用了相關資產、專案與帳號。另外，2026 年 6 月，Google 搗毀了"Outsider Enterprise,"這家總部位於中國的網路犯罪服務，該服務提供網路釣魚工具包；Google 並稱這是其首次針對 Gemini 遭濫用一事採取法律行動。這是兩項不同的陳述，若摘要將它們合併，就會比報告本身說得更多：滲透測試框架屬於「停用資產」的表述，而法律行動則屬於 Outsider Enterprise。

LLMJacking，以及被盜 AI 帳號現在要價多少

該追蹤器也為遭竊的 AI 存取權相關市場估算價格。地下需求集中於 Claude 與 Gemini 憑證，以及自主編碼 IDE Cursor Pro 與 Devin（後者由 Cognition 打造），而 2026 年間每個帳號的平均市場價格上漲超過一倍。執行收集的資訊竊取程式——LUMMAC.V2、STEALC.V2、VIDAR 與 ACRSTEALER——已更新為以 AI 開發者組態為目標。2026 年 5 月，ACRSTEALER 的控制者推送了檔案擷取規則，針對 Cline 的 secrets.json 與 Continue AI 的 config.yaml，這兩者都可能存放明文 API 金鑰與自訂模型路由端點。

GTIG 描述的一起入侵事件顯示，AI 帳戶一旦被奪取，究竟有多大價值。2026 年 4 月，一個外洩的 GitHub 個人存取權杖就足以啟用 Gemini Enterprise、佈建高效能運算資源、為 LiteLLM API 部署與 Manus 代理框架建立 Docker 儲存庫，並架設可透過 IAM 叫用者繫結暴露給allUsers的 Cloud Run 服務。同一工作階段建立了具備 Editor 權限的惡意服務帳戶並匯出其金鑰、查詢 BigQuery 以取得環境變數與憑證、試圖將專案擁有權移交給外部地址，還使用 Cloud Quotas API 要求 NVIDIA RTX 6000 容量及額外的 48-vCPU 執行個體。

模型萃取的情況，就是規模更大的同一套經濟邏輯。GTIG 表示，蒸餾行動如今經常發生，「有些超過 1 億個提示詞」，查詢會在數千個遭入侵與詐騙帳號之間輪替，並透過代理基礎設施路由；Google 也已部署反制措施，可降低學生模型的效能，以及透過來源溯源辨識經 Gemini 蒸餾模型的方法。

什麼是已確認的、什麼是評估，以及 GTIG 表示它尚未看到什麼

已確立——就 Google 是在描述自家第一方遙測與自家帳戶動作而言：該報告及其日期；Google 聲稱觀察到的產物，包括套件名稱、載入器檔案名稱、目錄名稱，以及內含 23,800 個機密的儀表板；還有 Google 聲稱採取的干擾措施，這些措施它能加以證實，因為停用帳戶是它實際所做的動作，而非推論而來。Help Net Security、Cloud Security Alliance 與 Lineaje 都報導了這些項目且彼此無矛盾，儘管它們當中沒有任何一方提出自身的獨立證據。

評估——就這是 Google 正在做出的判斷而言：報告中每一項國家行為者歸因；將拒絕誘餌解讀為刻意為之；以及被竊取的權杖將通過「AI 程式設計代理自動化信任檢查」的主張，而這種說法是在陳述這些檢查通常如何建構，而非衡量某個特定產品未通過其中一項檢查。

尚未確認：該「六小時行為者」的身分、受害者身分與人數、涉及的聊天機器人與模型，以及 Recon 伺服器是否與該行動有任何關聯。

而報告自身所設定的上限，比其標題所暗示的還低。GTIG 表示，它尚未在真實環境中觀察到完全自主的漏洞利用流程，並評估對手的運用「可能正朝這個使用情境演進」。分野在於攻擊內部，而非圍繞攻擊本身：人類提供目標、提示詞與指令檔；代理提供掃描、故障排除與輪換，且不會停下來請求許可。仔細閱讀，這場六小時的戰役並非自主性已然到來的證據。它證明的是，人類在當中所占的工作份額已壓縮到只剩必須由人來做的部分——決定要做什麼——而從決定到結果之間的一切都自行運轉。

Google 所稱的變更內容，以及報告實際指向的控制措施

Google 所述的回應採雙軌並行。在濫用方面，Google 表示這些活動「觸發了 Gemini 的安全回應」，並基於行為者的維運安全失誤，對這些行動採取了「額外且更廣泛的行動」，停用了相關資產、專案與帳號，且 Google DeepMind 利用這些發現強化了其分類器與模型本身，使其拒絕這些請求。在防禦方面，Google 已部署 Google AI Threat Defense，它將 Gemini 與前沿模型，結合 Wiz 的風險優先排序、Gemini 與 CodeMender 的修復，以及 Mandiant 情報，使用較輕量的模型進行持續掃描，並以尖端模型處理高風險發現；它也推出了Gemini 3.8 Flash Cyber，用於弱點偵測與自動修補，並發布了開源供應鏈強化指引。

DUSTMAKER 案例所需的具體修補比那整套堆疊更狹窄，而外部分析也正匯聚到這一點。SLSA 證明回答的是某個套件是否由它聲稱的身分所建置。它並不回答該身分是否仍屬於你原本想信任的一方，而 DUSTMAKER 的整套手法就是借用身分，而非偽造身分。Lineaje 對這項根本轉變的總結，是最清楚的表述：「儲存庫內容成為執行權威。」套件名稱、MCP 伺服器名稱、證明徽章，以及儲存庫內的指示檔案，如今都帶著某種應被遵從的主張而來，而被竊取的 OIDC 權杖正是讓這項主張看起來已驗證的東西。